Rubyの脆弱性情報まとめ

Ruby本体と、Railsやよく使われるgemのうち、2026年に公表されて確かめておきたいものです。米CISAの悪用確認の一覧（KEV、10月30日版）には、Ruby本体やgemの名前で載った項目はありません。KEVに載ったGitLabの正規表現の脆弱性は、原因がRuby本体の正規表現エンジンにあります。2026年11月2日時点の内容です。[1]

KEVに載っているRailsの項目は、2025年7月7日に追加されたAction Viewのrender file:の脆弱性（CVE-2019-5418）など、古いものです。[1]Railsは3月23日にも、Action Packなどの10件を7.2.3.1・8.0.4.1・8.1.2.1で直しています。[8]ruby-samlは2026年の公表はなく、2025年12月の認証回避（CVE-2025-66568ほか）は1.18.0で直っています。[9]

Rubyは毎年12月25日に新しい系列が出ます。11月2日時点でサポートされているのは4.0・3.4・3.3の3系列で、3.3はセキュリティ修正だけを受ける段階です。[10][11]

3.2は3月27日の3.2.11が最後で、10月23日の正規表現の修正は出ていません。Ruby公式は3.4か4.0への移行を勧めています。[12]3.3.13は、セキュリティ修正のみの段階では例外として出た版です。[2]4.0.0〜4.0.4には、DNSの応答を遅らせると落ちるおそれのあるgetaddrinfoの脆弱性（CVE-2026-46727）があり、4.0.5で直っています。[13]

Railsは、系列ごとにバグ修正とセキュリティ修正の期限が決まっています。8.0のセキュリティ修正は2026年11月7日に終わります。[14]

7.2は9月24日の7.2.4が最後で、以後の修正は8.0と8.1にだけ出ます。[15]8.0を使っている場合は、8.1への移行を進めます。

定番は、RubySecの脆弱性データベース（ruby-advisory-db）とGemfile.lockを照合するbundler-auditです。[16]

gem install bundler-audit

# データベースを更新してから Gemfile.lock を確かめる
bundle-audit check --update

11月2日時点で、ruby-advisory-dbにはActive StorageのCVE-2026-66066と、10月30日のrackの4件が入っています。[17]更新しないまま実行すると手元の古いデータベースで照合するため、--updateを付けるか、先にbundle-audit updateを実行します。

新しい版が出ているgemと、どの版が入っているかは、Bundlerで確かめます。

# 新しい版があるgem（Gemfileに書いたものだけ）
bundle outdated --only-explicit

# 版と、どこに入っているか
bundle info rack
bundle info nokogiri

# Gemfile.lock でどのgemの下に入っているか
grep -n -B3 '^    rack ' Gemfile.lock

上げるときは、ほかのgemをなるべく動かさない--conservativeを付けると、差分を確かめやすくなります。

bundle update --conservative rack rack-session nokogiri

1. Gemfile.lockから見る：実際に入る版はGemfile.lockで決まります。rackやNokogiriはRailsの下に入る間接依存なので、Railsを上げても古い版が残ることがあります。bundle infoで版を直接確かめます。
2. Ruby同梱のgemを見落とさない：resolv・erb・zlibなどはRubyに同梱されていて、Rubyを上げても同梱の版が古いことがあります。Ruby公式は、zlibの件でGemfileにgem "zlib", ">= 3.2.3"と書いて上げる方法を案内しています。[18]Gemfileに書いていない同梱のgemはGemfile.lockに載らないことがあり、その場合はbundler-auditで照合されないため、gem list resolvで入っている版を確かめます。
3. 本番で動いている版を見る：手元と本番は別です。動いているコンテナでdocker exec <コンテナ名> bundle exec ruby -vとdocker exec <コンテナ名> bundle info rackを実行し、Rubyとgemの版を確かめます。イメージを作り直して配備するまで、Gemfile.lockを直しても本番は古いままです。
4. Active Storageは更新だけで終わらない：CVE-2026-66066の修正版はlibvips 8.13以上を必要とします。本番のイメージでvips --versionを確かめます。すでに読まれた秘密は更新しても戻らないため、提供元はsecret_key_baseや外部サービスの鍵の入れ替えを求めています。入れ替えると、ログイン中のセッションは切れます。[3]
5. Ruby本体の版は別に確かめる：bundler-auditが照合するのはgemで、Ruby本体の正規表現の修正はruby -vと上の表で確かめます。